電腦中毒現(xiàn)象

時(shí)間：2016-03-30 08:41:04 林輝766由分享

　　你的電腦是不是卡的要死，或者動(dòng)不了呢，那是因?yàn)殡娔X中毒了，下面由學(xué)習(xí)啦小編給你做出詳細(xì)的介紹!希望對(duì)你有幫助!

　　電腦中毒現(xiàn)象：

　　1、所謂的映像劫持IFEO就是Image File Execution Options

　　(其實(shí)應(yīng)該稱為“Image Hijack”。)

　　它是位于注冊(cè)表的

　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options

　　IFEO的本意是為一些在默認(rèn)系統(tǒng)環(huán)境中運(yùn)行時(shí)可能引發(fā)錯(cuò)誤的程序執(zhí)行體提供特殊的環(huán)境設(shè)定。由于這個(gè)項(xiàng)主要是用來(lái)調(diào)試程序用的，對(duì)一般用戶意義不大。默認(rèn)是只有管理員和local system有權(quán)讀寫(xiě)修改。

　　當(dāng)一個(gè)可執(zhí)行程序位于IFEO的控制中時(shí)，它的內(nèi)存分配則根據(jù)該程序的參數(shù)來(lái)設(shè)定，而WindowsN T架構(gòu)的系統(tǒng)能通過(guò)這個(gè)注冊(cè)表項(xiàng)使用與可執(zhí)行程序文件名匹配的項(xiàng)目作為程序載入時(shí)的控制依據(jù)，最終得以設(shè)定一個(gè)程序的堆管理機(jī)制和一些輔助機(jī)制等。出于簡(jiǎn)化原因，IFEO使用忽略路徑的方式來(lái)匹配它所要控制的程序文件名，所以程序無(wú)論放在哪個(gè)路徑，只要名字沒(méi)有變化，它就運(yùn)行出問(wèn)題。

　　先看看常規(guī)病毒等怎么修改注冊(cè)表來(lái)達(dá)到隨機(jī)啟動(dòng)吧。

　　病毒、蠕蟲(chóng)和，木馬等仍然使用眾所皆知并且過(guò)度使用的注冊(cè)表鍵值，如下：

　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs

　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify

　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce

　　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce

　　等等。

　　2.另外一種劫持的方法是:在目標(biāo)程序目錄下建立與系統(tǒng)DLL相同的導(dǎo)出函數(shù),執(zhí)行內(nèi)容為

　　f=LoadLibrary(byref "c:\windows\system32\"+dllname)

　　f=GetProcAddress(byval f,byref procname)

　　!jmp f